專家解讀｜個人信息跨境流動法治化取得新成果

個人信息跨境流動是數字經濟全球化的重要組成部分，能夠充分釋放數據價值，對于數字經濟高質量發展具有重要推動作用。為滿足日益增長的個人信息出境需要，保護個人信息權益，國家互聯網信息辦公室于2023年2月24日以部門規章形式出臺《個人信息出境標準合同辦法》（以下簡稱《辦法》），細化了個人信息通過與境外接收方訂立標準合同方式出境的制度，是網絡與信息法治建設的重要成果；創新了網絡空間治理的新型綜合治理機制，是網絡與信息法學研究的最新立法范本。

一、《辦法》出臺的重要意義

第一，《辦法》的出臺有利于推動《個人信息保護法》更好實施。《個人信息保護法》第三十八條規定了個人信息處理者向境外提供個人信息的三個途徑，即安全評估、個人信息保護認證、標準合同以及其他條件?！掇k法》正文對“標準合同”途徑下的個人信息出境要求作了詳細規定，明確了個人信息出境標準合同的適用范圍、訂立條件和備案要求；附件列出了標準合同的基本條款，將法律規范轉化為合同規則。

第二，《辦法》的出臺有利于促進數字經濟發展和數據有序跨境流動。《辦法》要求符合條件的個人信息處理者與境外接收方按照本辦法訂立個人信息出境標準合同并生效后即可出境個人信息，簡化了個人信息出境的流程與環節，為個人信息處理者提供了多元化的個人信息出境方式?！掇k法》附件提供了標準合同的范本，境內個人信息處理者僅需要結合實際情況進行填充完善，極大降低了境內個人信息處理者的成本，解決了部分中小規模個人信息處理者專業人員不足的難題，便于其健康有序發展。

第三，《辦法》的出臺有利于提升個人信息出境活動的規范化水平。一方面，《辦法》明底線劃紅線，指出合規方向，細化適用訂立標準合同的方式向境外提供個人信息的基本條件，明確個人信息影響評估和合同備案的基本要求。另一方面，《辦法》也亮規矩定責任，要求個人信息處理者對所備案材料的真實性負責，違反規定依據《個人信息保護法》等法律法規處理；構成犯罪的，依法追究刑事責任。

二、《辦法》的四大亮點

第一，平衡了安全與發展。個人信息跨境流動對于引領數字經濟全球化發展具有重要作用，有利于做大、做強、做優我國數字經濟?！掇k法》堅持自主締約與備案管理相結合，防范個人信息出境后因泄露、損毀、篡改、濫用等可能對個人信息權益帶來的風險，落實多元化個人信息出境模式，豐富個人信息保護監管方式和手段，保障個人信息跨境安全、自由流動，有利于充分發揮數據要素對于高質量發展的重要推動作用，引領數字經濟全球化發展。

第二，織密了數據出境制度。一方面，《辦法》與《數據出境安全評估辦法》互為補集、互相銜接，為“非關鍵、小規模”的個人信息出境提供了詳細規范，進一步織密了個人信息出境管理制度。另一方面，《辦法》附件的標準合規范本在合同雙方之外，還對向境外的第三方提供個人信息提出了約束性要求，并對受個人信息處理者委托處理個人信息，轉委托第三方處理的情形作出規定，進一步筑牢了個人信息權益保護“防火墻”。

第三，創新了個人信息保護監管機制。《辦法》充分體現了依法治理、綜合治理的理念，一方面創造性地將合同這一意思自治形式吸收成為新的監管手段，在對個人信息處理者提出管理要求的同時，也留出了充足的創新空間；另一方面充分地把合規要求融入個人信息保護要求，除了將采取的技術措施列為個人信息評估的重點內容，還在附件的合同范本中，為個人信息處理者采取加密、匿名化、去標識化、訪問控制等技術和管理措施作出引導。

第四，突出了個人信息主體權益實現。《辦法》除了將《個人信息保護法》確立的個人信息主體權益列入合同范本正文，還重視境外接收方所在國家或者地區的個人信息保護政策和法規對我國個人信息主體權益的影響，把相關政策法規發生變化等可能影響個人信息權益的情形，作為觸發重新開展個人信息保護影響評估、補充或者重新訂立標準合同的重要條件。此外，《辦法》也充分體現了對“無救濟就無權利”原則的重視，把“救濟”作為合同范本的一條，要求境外接收方確定接受詢問或投訴的聯系人，并載明聯系方式；明確境外接收方接受個人信息主體通過向監管機構投訴和提起訴訟等方式維護權利；申明合同雙方同意個人信息主體所作的維權選擇，不會減損個人信息主體根據其他法律法規尋求救濟的權利。

三、加強監管和合規，更好實施《辦法》

第一，加強個人信息保護監管執法。建議網信部門加大指導、引導、督促力度，推動境內個人信息處理者積極開展評估、備案，監督個人信息處理者業務開展中涉及個人信息出境的合同等法律文件，對未履行備案程序或者提交虛假材料進行備案的、未履行標準合同約定的責任義務并侵害個人信息權益造成損害的依法追究法律責任。

第二，個人信息處理者應對照《辦法》要求做好合規。個人信息處理者應當加強對《辦法》的學習，對照《辦法》要求，用好通過訂立標準合同的方式開展個人信息出境活動。首先，應當盡快梳理自身數據資產和出境數據規模，識別是否具備《辦法》適用情形。其次，按照《辦法》要求，在向境外提供個人信息前嚴格開展個人信息保護影響自評估，重點評估個人信息出境的目的、范圍、方式及其合法性、正當性、必要性，通過出境個人信息的數量、范圍、種類、敏感程度來判斷其所可能產生的風險，明確境外接收方承諾承擔的責任義務、管理能力、技術措施以及境外接收方所在國家或者地區的個人信息保護政策法規。再者，應當按照《辦法》附件與境外接收方簽署標準合同，并將標準合同與影響評估報告在標準合同生效之日起10個工作日內向所在地省級網信部門備案。

第三，發展應用法律科技，賦能監管與合規。隨著人工智能、大數據等技術的進一步發展，利用“法律+科技”的手段實現監管與合規的自動化、智能化，符合數字經濟發展和數字政府建設的新方向、新趨勢?？梢蚤_發快速審查個人信息出境標準合同、影響評估報告的監管工具，助力實現備案監管的智慧化、精準化、全時化，提高監管能力和水平。通過技術對數據收集、存儲、加工、使用、傳輸、刪除等全生命周期進行可視化管理，自動分析企業數據資產與合規風險，根據分類分級等規則自動識別個人信息的數量、范圍、種類、敏感程度，保障個人信息處理目的、范圍、方式等的合法性、正當性、必要性，助力低成本、高效率完成《辦法》所要求的個人信息保護影響評估。（作者：周輝 中國社會科學院法學研究所網絡與信息法研究室副主任）